英国学生应用ZyMix被揭使用腾讯云 隐私政策改写引发数据透明度质疑
已更新：40分钟前
伦敦，2026年10月13日
英国一款面向大学生、集即时通讯、付款、社群和位置功能于一体的应用ZyMix，因其数据基础设施与隐私披露受到质疑。《卫报》10月13日报道，ZyMix上线时的隐私政策曾将“腾讯（法兰克福）”列为存储用户生成内容和消息的供应商；该报就此询问后，政策被改写，腾讯名称不再出现。ZyMix运营商Flicknmix表示，与腾讯云欧洲公司签订的协议只涉及辅助服务，并非其主要存储平台。《卫报》调查
现行政策称，核心用户数据保存在英国，位于欧盟的辅助基础设施仅接收加密消息和有限技术数据；政策同时说，具体供应商名单可应要求提供。ZyMix现行隐私政策 这些公开材料提出了一个可核查的透明度问题：用户能否在同意处理个人资料前，清楚了解哪些公司参与处理、处理哪些资料、位于何处以及受何种访问控制。不过，目前没有公开证据证明ZyMix用户资料被传送到中国，也没有证据证明中国政府曾取得这些资料。
报道所揭示的政策变化
《卫报》称，其查看的较早版本政策把“用户生成内容和消息”与“腾讯（法兰克福）”联系起来。报道发表时的版本改以供应商类别描述技术安排，不再点名腾讯，并新增一项说明：主要英国云平台保存核心用户资料，欧盟辅助基础设施只处理加密消息和有限技术资料。《卫报》；ZyMix隐私政策第6节
本稿无法通过ZyMix网站独立取得该较早版本，因此政策曾明确写有“腾讯（法兰克福）”、以及修改发生在媒体询问之后这两点，均依赖《卫报》的报道。现行政策标注“2026年9月更新”，其“变更摘要”称，服务商现在按类别说明，并可通过隐私邮箱索取具名名单；页面没有显示逐次修改时间或可公开核对的版本历史。现行政策
Flicknmix对《卫报》表示，腾讯、Twilio等服务仅用于性能测试；公司与Tencent Cloud Europe BV的协议只涵盖辅助服务，不是数据存储平台。公司还说，ZyMix遵守英国法律，核心资料位于英国，欧洲基础设施只接触加密消息和有限技术资料。《卫报》所载公司回应 这些说法与现行政策的大方向一致，但公司没有公开合同、数据处理协议、子处理者清单、系统架构或独立审计，外界目前无法据此确认腾讯服务实际处理的字段、保存时间和可访问人员。
涉及的数据为何具有公共利益意义
ZyMix把自己定位为英国面向Z世代的社交“超级应用”。Google Play页面显示，该应用已有5,000次以上下载，功能包括聊天、分账付款、位置发现、社群、迷你应用和人工智能服务；页面把应用列为17岁以上，并提示可能共享位置及应用内购买资料。Google Play应用页 苹果英国应用商店也将其描述为整合社交、付款和校园生活的应用，并标注开发者为Flicknmix。Apple App Store
ZyMix现行隐私政策列出的资料范围较广，包括电话号码或电邮、个人档案、用户内容和消息、装置及日志资料、IP地址、使用活动、经许可取得的位置，以及通过Mangopay处理的付款资料。用户选择相关功能时，应用还可能处理Apple Health每日摘要，或把内容交由OpenRouter、OpenAI、Checkstep及Yoti等服务商处理。ZyMix隐私政策 这不表示每名用户的所有资料都会同时被收集，也不表示上述供应商会取得全部资料；但消息、位置、付款和健康资料一旦结合，可能形成高度具体的个人活动图谱，因此供应商披露和访问控制具有现实意义。
英国公司登记处显示，Flicknmix Ltd是一家活跃的英国私人有限公司，2019年9月成立，注册地址在伦敦。英国公司登记处 《卫报》还报道，公司一则招聘广告要求应聘者能以普通话与“中国团队”日常沟通，另一则广告称产品、研发、设计和测试工作位于“大中华区”；Flicknmix则表示，公司在中国没有子公司或分支机构，并称ZyMix是在英国诞生的产品。《卫报》 招聘用语可以提示业务联系，但本身不能证明中国境内实体控制应用或接触用户资料。
腾讯的美国国防部名单身份意味着什么
腾讯控股仍列在美国国防部2026年6月更新的第1260H条“中国军事公司”名单中。该文件把腾讯列为被美国国防部认定“直接或间接隶属”中国军民融合体系的实体。美国国防部名单 腾讯在2025年首次被列入后称，这是一个错误，公司既不是军事公司也不是军方供应商；中国政府亦要求美方撤销相关限制。路透社；美联社
这项名单是美国行政部门的国家安全认定，腾讯对此提出异议；它不等同于法院裁决，也不是对腾讯所有商业往来的全面制裁。仅凭名单不能推断ZyMix的数据已被军方、中国政府或腾讯中国员工访问。《卫报》报道的合同方是Tencent Cloud Europe BV；腾讯云自己的数据处理文件把该公司列为在荷兰注册、地址位于阿姆斯特丹的欧洲实体，并列有法兰克福云区域。腾讯云数据保护文件；腾讯云区域说明
与此同时，腾讯云的标准数据处理条款也说明，在符合适用数据保护法的前提下，其关联公司或子处理者可能在第三国处理来自欧洲经济区或英国的个人资料。腾讯云数据处理与安全协议 这是一项一般合同安排，并不能证明ZyMix实际采用了任何境外子处理者；要判断实际风险，仍需查看ZyMix与腾讯云欧洲公司的具体合同、子处理者名单、密钥控制和远程支持安排。
英国数据保护法下的透明度问题
英国GDPR第13条要求资料控制者在直接收集个人资料时，告知用户资料接收者或接收者类别，以及适用时的境外转移和保障措施。英国法例数据库：UK GDPR第13条 英国信息专员办公室的指引同样要求资料控制者以清楚、易获取的方式提供这些信息，并在处理方式改变时更新隐私资料。ICO“知情权”指引；ICO应提供哪些隐私信息
法律文字允许披露“接收者或接收者类别”，所以从具名供应商改为类别说明并不自动违法。ZyMix现行政策还表示，用户可索取具名供应商名单。是否已经充分具体、是否在改变供应商或处理目的时及时告知用户，以及“辅助基础设施”是否准确概括腾讯所做的处理，都需要监管机构结合实际系统和合同判断。截至10月13日晚，本稿没有找到英国信息专员办公室已就ZyMix展开调查的公开记录，也没有找到英国大学或政府部门就此事件发布的正式回应。
前英国生物识别与监控摄像专员Fraser Sampson向《卫报》质疑，公司以商业机密为由不公开具名供应商、并在受到询问后改写政策，是否符合充分透明的期待。倡议组织UK-China Transparency的Sam Dunning则认为，产品的技术供应链和对华业务联系值得更严格的尽职调查。《卫报》 两人的意见属于专家和倡议者评论，并非监管裁定。腾讯回应称，美国名单认定错误；Flicknmix否认腾讯云是其主要存储平台，并强调合规和欧洲加密处理安排。《卫报》
资料来源
留言